GOBIERNO CORPORATIVO TIC

AURENFrancisco Rover 4 Entresuelo07003 Palma Mallorca Avda. General Perón, 38 3ª28020 Madrid

Objetivos y Metodología para su implantación

GOBIERNO CORPORATIVO TIC

ÍNDICE

1. Introducción2. Coso – Internal Control Integrated Framework3. Balance Scorecard – Cumplimiento Legal4. ISO 38500 - COBIT / ValIT5. ISO 27000 – ISO 20000 (ITIL V3) - ISO 247626. Metodología.6. Desarrollo del proyecto.7. Fases de desarrollo del proyecto

José Manuel Ballester Fernándezmballester@temanova.commballester@temanova.commballester@temanova.commballester@temanova.com

ALGUNA INFORMACIÓN PERSONAL

▶ Doctor Ingeniero Industrial, MBA, CISA, CISM, CGEIT

» Consejero Delegado TEMANOVA

» Socio ALINTEC

» Director Estratégia Fundación DINTEL

» Director Postgrado Buen Gobierno Universidad Deusto

» Director Cátedra Buen Gobierno Universidad Deusto

▶ Miembro de ISACA, AUTELSI, AETIC, AEDI, AENOR

▶ Former President de ASIA / ISACA Madrid Chapter

▶ CobiT® Foundation Certificate

▶ Certified Information Systems Auditor (CISA)

▶ Certified Information Security Manager (CISM)

▶ Certified Governance Enterprise IT (CGEIT)

▶ Accredited CobiT® Trainer

Texto menú 2

Introducción

Es importante tener en cuenta la creciente complejidad social que se presenta en las relaciones que las organizaciones desarrollan. El gobierno corporativo reconoce a los Stakeholders o terceros interesados la importancia que tienen y como afectan a la hora de implantar cualquier sistema.

Complejidad social

Las organizaciones requieren una aproximación estructurada para abordar éstos y otros desafíos.

Administrar los

servicios de TI

Seguridad

Valor/Costo

Manejar la complejidadAlineamiento de TI

con el Negocio

Cumplir con

requerimientos

regulativos

Texto menú 2

Introducción

Gobierno Corporativo TIC es

• Un conjunto de responsabilidades y prácticas ejecutadas por la junta

directiva y la administración ejecutiva con el fin de proveer dirección

estratégica,

• garantizando que los objetivos sean alcanzados,

• estableciendo que los riesgos son administrados apropiadamente y

• verificando que los recursos de la empresa son usados responsablemente.

MEDICIÓN DEL

DESEMPEÑO

ADMINISTRACIÓNDE LOS RECURSOS

ADMINISTRACIÓN

DEL

RIESGO

AGREGARVALOR

ALINEACIÓN

ESTRATÉGICA

www.itgi.orgwww.itgi.org

Texto menú 2

Introducción

Niveles de Gobernanza

La provisión de la estructura que permita determinar los objetivos de la Organización y supervisar el rendimiento, a fin de asegurar que los objetivos son cumplidos.

OCDE (2004)

Gobernanza corporativa (COSO)

La especificación del marco de derechos a la toma de decisiones y la alta responsabilidad

para favorecer un comportamiento deseable en el uso de las TIC.

MIT/Sloan School of Management (2004)

No obstante, la Gobernanza no tiene que ver con qué decisiones son tomadas - eso es Gestión -; sino que tiene que ver con quién toma las decisiones y con cómo se toman.

El establecimiento y mantenimiento de un marco que provea garantía de que las estrategias de seguridad de la información están alineadas con los objetivos del negocio y son conformes a las leyes y regulaciones aplicables

ISACA/CISM BoK (2002)

Gobernanza de la Seguridad de la Información y Tecnologías afinesGobernanza Corporativa

Gobernanza de TIC

Gobernanza de SI

Niveles de gobernanza

Gobernanza de la TIC ISO 38500 – COBIT / Val IT

Texto menú 2

Introducción

ISO38500 COBIT / Val ITISO 24762

ISO 27000

ISO 20000ITIL

COSO – Cumplimiento Legal

QUE COMO

CAMPO DE COBERTURA

En la actualidad existe diferentes metodologías orientadas al control de las organizaciones, cada una de ellas abarca diferentes ámbitos, de forma que se complementan.

Marcos de Control

Texto menú 2

Introducción

Niveles de gobernanza

Continuidad de Negocio

Procesos y ProcedimientosPrincipios

de Seguridad

ITIL

“Gobierno de TI” ISO38500 COBIT / Val IT

DESEMPEÑO: Metas del negocio

CONFORMIDADBasilea II, Sarbanes-Oxley Act,LOPD, etc

Directrices

ISO 24762

ISO27000

ISO 20000Estándares de mejores prácticas

“Gobierno Corporativo” COSOBalanced Scorecard

Coso – Internal Control Integrated Framework

En 1992, COSO publicó el Sistema Integrado de Control Interno, un informe que establece una definición común de control interno y proporciona un estándar mediante el cual las organizaciones pueden evaluar y mejorar sus sistemas de control.

� Mejorar la calidad de la información financieraconcentrándose en el manejo corporativo, las normas éticas y el control interno.

� Unificar criterios ante la existencia de una importante variedad de interpretaciones y conceptos sobre el control interno.

OBJETIVOS DE COSOControl Interno

� Alinear el riesgo aceptado y la estrategia� Mejorar las decisiones de respuesta a los riesgos.� Reducir las sorpresas y pérdidas operativas� Identificar y gestionar la diversidad de riesgos para toda la entidad� Aprovechar las oportunidades� Mejorar la dotación de capital

El Gobierno Corporativos incluye las siguientes capacidades:

Coso – Internal Control Integrated Framework

Con estas capacidades se ayuda a la dirección a alcanzar los objetivos de rendimiento y rentabilidad de la entidad y prevenir la pérdida de recursos.

Con el Gobierno Corporativo permite asegurar una información eficaz y el cumplimiento de leyes y normas, además de ayudar a evitar daños a la reputación de la entidad y sus consecuencias derivadas.

Definición de la Gobierno Corporativo

Coso – Internal Control Integrated Framework

El marco de Gobierno Corporativo está orientado a alcanzar los objetivos de la entidad, que se pueden clasificar en cuatro categorías:

El Gobierno Corporativo es un proceso efectuado por el consejo de administración de una entidad, su dirección y restante personal, aplicable a la definición de estrategias en toda la empresa y diseñado para identificar eventos potenciales que puedan afectar a la organización, gestionar sus riesgos dentro del riesgo aceptado y proporcionar una seguridad razonable sobre el logro de los objetivos.

� Estrategia: objetivos a alto nivel, alineados con la misión de la entidad y dándole apoyo

� Operaciones: objetivos vinculados al uso eficaz y eficiente de los recursos� Información: objetivos de fiabilidad de la información suministrada. � Cumplimiento: objetivos relativos al cumplimiento de leyes y normas

aplicables.

Componentes del Gobierno CorporativoEL Gobierno Corporativo consta de ocho componentes relacionados entre sí, que se derivan de la manera en que la dirección conduce la empresa y cómo están integrados en el proceso de gestión.

� Ambiente interno: establece la base de cómo el personal de la entidad percibe y trata los riesgos.

� Establecimiento de objetivos: los objetivos deben de existir antes de que la dirección pueda identificar potenciales eventos que puedan afectar a su consecución.

� Identificación de eventos: tanto internos como externos que afectan a los objetivos de la entidad.

� Evaluación de riesgos: se analizan considerando su probabilidad e impacto como base para determinar como deben de ser gestionados.

� Respuesta al riesgo: las posibles respuestas – evitar, aceptar, reducir o compartir – los riesgos.

� Actividades de control: las políticas y procedimientos se establecen e implantan para ayudar a asegurar que las respuestas a los riesgos son eficaces.

� Información y comunicación: la información relevante se identifica, capta y comunica para que el personal pueda afrontar sus responsabilidades.

� Supervisión: la supervisión se lleva a cabo mediante actividades de la dirección o evaluaciones independientes.

Componentes de la gestión de Buen Gobierno Corporativo

Funciones y responsabilidades

La Alta Gerencia es la responsable última del sistema de control. La integridad y la ética deben ser elementos que aporten ejemplo a los demás empleados. Debe dirigir a los gerentes que a su vez son los responsables en sus respectivas áreas.

El Consejo de Administración fija las pautas y la visión global del negocio. El Consejo debe tener un papel activo en el conocimiento de las acciones que se ejecutan. Debe asegurarse de contar con vías de comunicación efectivas con la Alta Dirección y las áreas financieras, legales y de auditoría interna.

La Auditoría Interna debe desempeñar un papel de supervisión sobre la eficiencia y permanencia de los sistemas de control. Para ello debe contar con una ubicación jerárquica adecuada.

Los empleados en general tienen la responsabilidad de participar en el esfuerzo de aplicar el control interno, cuyos detalles deben ser incorporados a la descripción de los puestos de trabajo. Ellos deben comunicar al nivel superior las desviaciones que detecten a los códigos de conducta, a las políticas establecidas o la legalidad de las acciones realizadas.

Coso – Internal Control Integrated Framework

�Determinación de los Objetivos.

�Objetivos globales (tales como la Misión).

�Objetivos específicos de las diversas actividades (por ej. Producción), estos sub-objetivos medibles a través de metas deben ser coherentes.

Coso – Internal Control Integrated Framework

Los objetivos deben ser:

�Definidos de modo de identificar los criterios para medir el rendimiento y establecer factores críticos de éxito (que pueden ser a nivel de actividad o unidad operacional).

�Coherentes y compatibles.�Como ejemplo se puede

considerar: efectuar pagos sólo para compras autorizadas, que los sistemas informáticos se encuentren disponibles según los requerimientos del negocio, etc.

Evaluación de riesgos

�Debe asegurase que se obtenga información de calidad y no meros datos.

� La información debe ser protegida ya que se trata de un activo valioso.

� Las vías de comunicación interna deben asegurar que el personal conozca los elementos suficientes para cumplir con su tarea.

Información y comunicación

� Las actividades de supervisión continua y evaluaciones puntuales.

� Las deficiencias detectadas deben ser oportunamente comunicadas.

Supervisión

Marcos Regulatorios del Buen Gobierno

• Legislación extranjera de implantación en "branch offices".

• Decisiones del Consejo Europeo (emergentes).

– Pretender preparar un marco para el desarrollo nacional.

• Agencias Gubernamentales:– AGPD.– Ministerio de Industria.– Ministerio del Interior.

• Foros sectoriales:– Asociaciones Profesionales.– Basilea II

Utilidad del Cuadro de Mando Integral

• BalancedScoredCard:– Lenguaje común entre entornos diferentes.

– Establecimiento de un mapa estratégico con "dónde queremos estar".

– Estudio del impacto de determinadas acciones:

• Seleccionar acciones.• Estudiar el impacto en el BSC.• Elaborar una regla.

20

• ISO/IEC 38500. Corporate Governance of IT

URL:: http://www.iso.org/iso/iso_catalogue/catalogue_tc/catalogue_detail.htm?csnumber=51639

ISO 38500

OBJETIVOS DE LA NORMAObjetivo de la norma: El uso de las tecnologías de la información de manera efectiva, optima y eficiente en las organizaciones, con la finalidad de:

�Generar confianza en los stakeholders (empleados, clientes, proveedores, socios, accionistas, etc.) en el Gobierno Corporativo de TIC de la Organización.

�Informar y guiar a la alta dirección en el gobierno TIC en su organización.

�Proveer de bases para la evaluación objetiva del Gobierno Corporativo TIC

ISO/IEC 38500:2008

� Adecuada aplicación y operación de activos de TIC.� Asignación de responsabilidades. � Continuidad del negocio � Sostenibilidad.� Alineación de TIC con los objetivos del negocio.� Asignación eficiente de recursos.� Innovación en los servicios, los mercados y las empresas.� Mejora de imagen y reputación en el mercado frente a los reguladores, agentes sociales y con los stakeholders. � Optimización en los costes de una organización� Inversión efectiva en TIC.� Cumplimiento legal.

BENEFICIOS DE LA IMPLANTACIÓN DEL ESTÁNDAR:

ISO/IEC 38500:2008

Con estas capacidades se ayuda a la dirección a alcanzar los objetivos de rendimiento y rentabilidad de la entidad y prevenir la pérdida de recursos.

Con el Gobierno Corporativo permite asegurar una información eficaz y el cumplimiento de leyes y normas, además de ayudar a evitar daños a la reputación de la entidad y sus consecuencias derivadas.

ISO38500

MODELOISO/IEC 38500:2008

La Norma establece los principios para el buen gobierno corporativo de TIC:

�Responsabilidad�Estrategia�Inversión �Rendición de Resultados�Cumplimiento �Recursos Humanos

En cada uno de los principios de la Norma es necesario realizar estas tres tareas principales:

�EVALUAR el uso actual y futuro de las TIC. �DIRIGIR la preparación y ejecución de planes y políticas para garantizar que el uso de TIC cumple los objetivos empresariales.�MONITORIZAR la conformidad con las políticas, y los resultados de los planes.

25

• ISO/IEC 38500. Corporate Governance of IT

◊ Independencia de las herramientas

◊ Definición clara del concepto y sus límites

◊ Identificación de los destinatarios del mensaje

◊ Sencillez del propio mensaje a través de la proclamación de unos principios

26

• ISO/IEC 38500. Principios

◊ Claro establecimiento de responsabilidades sobre las TIC◊ Planificación de las TIC para un mejor soporte de la

organización◊ Adquisición de TIC de forma válida◊ Garantía de unas TIC que funcionan bien y cuando son

requeridas◊ Garantía de unas TIC que cumplen (y ayudan a cumplir) con la

normativa formalmente establecida◊ Garantía de unas TIC cuyo uso respeta los factores humanos

27

• ISO/IEC 38500. Cuestiones comprensibles

◊ ¿Los individuos de su organización entienden y aceptan su responsabilidad sobre las TIC?

◊ ¿Sus planes tecnológicos soportan los planes corporativos de su organización y cubren las necesidades presentes y futuras de la misma?

◊ ¿Las adquisiciones de TIC se realizan por razones aprobadas y de la forma aprobada?

◊ ¿Su marco TIC garantiza adecuadamente la continuidad y sostenibilidad de su organización?

◊ ¿Su marco TIC es conforme a regulaciones externas y/o internas?◊ ¿Su entorno TIC cumple con las necesidades de la “gente involucrada en

el proceso”?

Control Objetives for Information and Related Tecnology

ISO38500 COBIT

Consejos de Administración y Altos Ejecutivos

Gerencias de Línea y de TI

Profesionales de la Gobernanza, la Evaluación de Garantía, el Control y la Seguridad

• Indicadores Clave de Rendimiento

• Indicadores Clave de Objetivo

• Modelos de Madurez

Resumen Ejecutivo

Directrices de Gestión

¿Qué es el Marco de Referencia para la Gobernanza de TI?

¿Cómo evaluarlo?¿Como presentarlo e implantarlo?

Objetivos de Control

¿Cúales son sus Responsabilidades?

Marco de ReferenciaGuía de

Evaluación de Garantía de TI Guía de Implantación deGobernanza de TI

Prácticas de Control

MARCO DE REFERENCIA

La principal cualidad de CobiT es su orientación hacia los OBJETIVOS de la ACTIVIDAD de la Organización y cómo TIC apoya su logro

ISO38500 COBIT

MARCO DE REFERENCIA EL CUBO DE COBIT

RECURSOS de

TI

EFICACIA

EFICACIA

EFICIE

NCIA

EFICIE

NCIA

CONFORMID

AD

CONFORMID

AD

FIABIL

IDAD

FIABIL

IDAD

CONFIDENCIA

LIDAD

CONFIDENCIA

LIDAD

DISPONIB

ILID

AD

DISPONIB

ILID

AD

INTEGRID

AD

INTEGRID

AD

DOMINIOSDOMINIOS

PROCESOSPROCESOS

ACTIVIDADESACTIVIDADESP

ER

SO

NA

SP

ER

SO

NA

S

AP

LIC

AC

ION

ES

AP

LIC

AC

ION

ES

INF

RA

ES

TR

UC

TU

RA

INF

RA

ES

TR

UC

TU

RA

INF

OR

MA

CI

INF

OR

MA

CI ÓÓ

NN

Co

nju

nto

est

rucu

trad

o d

eP

RO

CE

SO

S d

e T

I

REQUISITOS de la ORGANIZACIÓNpara la INFORMACIÓN

ISO38500 COBIT

OBJETIVOS DE CONTROL El conjunto estructurado de 34 PROCESOS [objetivos de control de alto nivel] se agrupa de forma natural en 4 DOMINIOS.

▶ [PO] PLANIFICAR y ORGANIZAR 10 Procesos de TI

▶ [AI] ADQUIRIR e IMPLANTAR 07 Procesos de TI

▶ [DS] ENTREGAR y SOPORTAR (dar soporte) 13 Procesos de TI

▶ [ME] MONITORIZAR y EVALUAR 04 Procesos de TI

ISO38500 COBIT

OBJETIVOS DE LA ENTIDADOBJETIVOS DE GOBIERNO CORPORATIVO

Eficiencia

PersonasAplicaciones

InfraestructuraInformación

ENTREGARY

SOPORTAR

MONITORIZARY

EVALUAR

ADQUIRIRE

IMPLANTAR

INFORMACION

RECURSOSDETI

MARCO DE REFERENCIA C O B I T

Eficacia

Confidencialidad

Integridad

Disponibilidad

Conformidad

Trata la entrega o la prestación de los servicios requeridos -desde las operaciones tradicionales, hasta la formación; pasando por la seguridad en los sistemas y las continuidad de las operaciones -.

Deberán establecerse los procesos necesarios para la provisión de los servicios.

Todos los procesos han de evaluarse periódicamente para verificar su calidad y suficiencia en cuanto a los requisitos de control.

Advierte a la Dirección sobre la necesidad de garantizar procesos de control independientes (auditorías).

Cubre las estrategias y las tácticas para identificar la forma en la que la TI puede contribuir de la mejor manera al logro de los objetivos de la Organización.

La consecución de la visión estratégica debe planearse, comunicarse y gestionarse desde diferentes perspectivas.

Es necesario establecer una organización e infraestructura tecnológica apropiada.

Para llevar a cabo la estrategia de TI, éstas deben identificarse, construirse o adquirirse, implantándose e integrándose en el proceso de la Organización.

Contempla, asimismo, los cambios y mantenimiento de sistemas existentes, para garantizar su continuidad.

PLANIFICARY

ORGANIZAR

Fiabilidad

OBJETIVOS DE CONTROL

ISO38500 COBIT

OBJETIVOS DE CONTROL OBJETIVOS DE LA ENTIDADOBJETIVOS DE GOBIERNO CORPORATIVO

Eficiencia

PersonasAplicaciones

InfraestructuraInformación

ENTREGARY

SOPORTAR

MONITORIZARY

EVALUAR

ADQUIRIRE

IMPLANTAR

INFORMACION

RECURSOSDETI

MARCO DE REFERENCIA C O B I T

Eficacia

Confidencialidad

Integridad

Disponibilidad

Conformidad

DS1 Definir y administrar niveles de servicio.

DS2 Administrar servicios de terceros.

DS3 Administrar desempeño y capacidad.

DS4 Asegurar continuidad de servicio.

DS5 Garantizar la seguridad de sistemas.

DS6 Identificar y asignar costos.DS7 Educar y capacitar usuarios.DS8 Administrar servicios de

apoyo e incidentes. DS9 Administrar la configuración.DS10 Administrar problemas.DS11 Administrar datos.DS12 Administrar el ambiente

físico. DS13 Administrar operaciones.

ME1 Monitorear y Evaluar el desempeño de TI.

ME2 Monitorear y Evaluar el control interno.

ME3 Garantizar el cumplimiento regulatorio.

ME4 Proveer Gobierno de TI.

PO1 Definir un plan estratégico de TI.

PO2 Definir la arquitectura de información.

PO3 Determinar la dirección tecnológica.

PO4 Definir los procesos de TI, la organización y sus relaciones.

PO5 Administrar las inversiones en TI.

PO6 Comunicar la dirección y objetivos de la gerencia.

PO7 Administrar los recursos humanos de TI.

PO8 Administrar calidad.PO9 Evaluar y administrar

riesgos de TI.PO10 Administrar proyectos.

AI1 Identificar soluciones de automatización.

AI2 Adquirir y mantener software de aplicación.

AI3 Adquirir y mantener la infraestructura tecnológica.

AI4 Permitir la operación y uso.AI5 Obtener recursos de TI.AI6 Administrar cambios.AI7 Instalar y acreditar

soluciones y cambios.

PLANIFICARY

ORGANIZAR

Fiabilidad

ISO38500 COBIT

DIRECTRICES DE GESTIÓN

Entradas y Salidas del Proceso

Actividades y Matriz RACI

Objetivos (metas) de TIObjetivos (metas) de los procesosObjetivos (metas) de las actividades

KGI - Indicadores clave de objetivosKPI - Indicadores clave de rendimiento

ISO38500 COBIT

ISO 38500 – COBIT

DIRECTRICES DE GESTIÓN. MODELOS DE MADUREZ

Val IT™ y CobiT®, complementarios; dos planos distintos

Val IT ofrece un marco complementario al de CobiT; pero con un enfoque estratégico y de gobernanza, al más alto nivel.

Procesos y prácticas clave de Gobernanza de Valor

Val IT consta de tres (3) PROCESOS,soportados en un total de cuarenta (40) PRÁCTICAS clave de gobernanza

ISO 20000 - ITIL V3

Gestión y Calidad del Servicio TIC

ISO27000

Gestión y Seguridad TIC

ISO/IEC 17799:2005, Code of Practice for Information Security Management

Año: 2005 (primera edición, 2000)

Editor: International Organization for Standardization (ISO)

URL: http://www.iso.ch

11 Áreas de Control

– Política de Seguridad

– Organización de la Seguridad de la Información

– Gestión de Activos– Seguridad en los Recursos Humanos

– Seguridad física y del entorno

– Gestión de comunicaciones y operaciones

– Control de accesos

– Adquisición, desarrollo y mantenimiento de sistemas de información

– Gestión de incidentes de seguridad

– Gestión de continuidad del negocio– Conformidad

Continuidad de Negocio

Marco de Referencia. Definiendo las metas TIC y la arquitectura empresarial TIC

Requisitos de la

Organización

requieren

Requisitos de

Gobierno Corp.

Servicios de

Información

Criterios de

Información

influencian

implican

aportan

necesitan

ejecutan

Procesos TIC

Información

Aplicaciones

Infraestructura y

Gente

Estrategia

Empresarial

Objetivos de la Entidad Arquitectura Empresarial para TIC

Metas de

TIC

Cuadro de

Mando Integral

TIC

Objetivos de

la Entidad

Arquitectura

Empresarial

TIC

RECURSOS DE TI

– KPI (Key Performance Indicator / Indicador Clave de Rendimiento):

Indican cómo se está desarrollando el proceso, cuál está

siendo su comportamiento.

Predicen la probabilidad es éxito o fracaso en el futuro. Son

indicadores “guía”.

Ayudarán a mejorar el proceso de Seguridad de la Información

cuando sean medidos y se actúe sobre ellos.

– KGI (Key Goal Indicator / Indicador Clave de Meta u Objetivo):

Indican, después del hecho, si un determinado objetivo se ha

alcanzado.

Objetivos e indicadores

KGINúmero de incidentes que han afectado

a la imagen pública

Hacer el trabajo

ObjetivoMantener la reputación yel liderazgo empresarial

KPINúmero de accesos no autorizados

en el último mes

Actuar

¿Lo alcanzaremos?

¿Lo hemosalcanzamos?

– El Cuadro de Mando Integral (BSC,

Balanced ScoreCard) presenta el

rendimiento desde cuatro

perspectivas.

– Los KGI hacen referencia a las

vertientes financiera y del cliente,

dentro del BSC.

– Los KPI se enfocan hacia el proceso

y la dimensión del aprendizaje.

Cuadro de Mando Integral TIC

FinancieraQué objetivos

financieros se deben alcanzar

ClienteQué necesidadesdel cliente debenser servidas

Aprendizaje

Cómo debeaprender e innovarla Organización

InternaEn qué

procesos internosdebe

distinguirse la Organización

Cuadro de Mando Integral. Un ejemplo

Perspectiva del cliente

Implantar la nueva infraestructura de red

Perspectiva Financiera

Perspectiva InternaObjetivos de negocio / Preocupaciones de TIKGI KGI KPI KGI Objetivo de TI

Mayor dirección al neg.

KGI

KPI

Aprender e innovar

Reducir el número de interrupciones causadas por errores de gestión de cambios.

Reducir el número de soluciones de emergencia.Reducir el trabajo adicional causado por especificaciones de cambio inadecuadas.

Reducir el tiempo y esfuerzo requeridos para hacer cambios.

Formación completada en cuatro (4) meses.

KGI

KPI

KPI

PROCESO DE AUDITORÍA

ADQUIRIR EVALUAR VALORAR JUSTIFICAR

Las directrices de auditoría de COBIT Orientan en la preparación de programas de auditoría, a través de una estructura comúnmente aceptada del PROCESO de AUDITORÍA …

… basada en:[ADQUIRIR] conocimiento, a través de:

- entrevistando …- obteniendo …

[EVALUAR] la conveniencia de los controles establecidos:- considerando …

[VALORAR] la suficiencia:- probando que …

[JUSTIFICAR] el riesgo de que los objetivos de control no se alcancen:- ejecutando …- identificando …

Camino hacia la implantación

Una secuencia de actividades para construir un Gobierno TIC sostenible en la Organización

NadaNada

ConcienciaciónConcienciación

Análisis deNecesidades

Análisis deNecesidades

Análisis de

Brechas

Análisis de

Brechas

Proyectos deMejoramiento

Proyectos deMejoramiento

EvaluaciónEvaluación

Desarrollar organización de Gobierno

de TI

Desarrollar organización de Gobierno

de TI

Actividad Normal del Negocio

Actividad Normal del Negocio

Un mapa de ruta genérico ayuda a las organizaciones a diseñar los esfuerzos de implementación del Gobierno TIC ……

Camino hacia la implantación (y II)

Una secuencia de actividades para construir un Gobierno TIC sostenible en la Organización

Qué debe Entregar TIC?

Qué debe Entregar TIC?

Existen problemas?

Existen problemas?

Qué escritico?

Qué escritico?

Qué se está

olvidando?

Qué se está

olvidando?

Qué lograr? Qué lograr?

Ya lo hemosarreglado?

Ya lo hemosarreglado?

Cómo podemos mantener elcontrol?

Cómo podemos mantener elcontrol?

ÉxitoÉxito

Un mapa de ruta genérico ayuda a las organizaciones a diseñar los esfuerzos de

implementación del Gobierno TIC ……

Hoja de Ruta de Implantación Gobernanza TIC

IMPLEMENTAR LASOLUCIÓN

PLANEAR LA SOLUCIÓN

PREVER LA SOLUCIÓN

IDENTIFICAR NECESIDADES

Fomentar la conciencia y obtener

compromiso

Analizar metas del negocio &

TI

Seleccionar procesos y controles

Definir el desempeño actual

Definir objetivos de mejora

Analizar inconsistencias e identificar mejoras

Definir proyectos

Desarrollar un plan de mejora

Implementar las mejoras

Integrar medidas en el ITBSC

Revisión Post

implementación

Analizar riesgos

CONSTRUIRSOSTENIBILIDAD

Definir el Alcance

Desarrollar Estructura & Procesos del Gobierno de TI

Procesos de Negocio – Asignación de Responsables

Relación Procesos de Negocio – Objetivos de Negocio – Objetivos de TI

Relación Objetivos de TI – Recursos y Atributos de TI

Evaluación de Objetivos de TI por Criterios de Información y Recursos de TI

Mapa de Calor (Heat Map) de Procesos de TI -> Procesos de COBIT seleccionados

Análisis de Riesgos de procesos TI

Mapa de Riesgos de Procesos de TI

Evaluación de procesos por Madurez (Gap Análisis)

Evaluación y Análisis de Recomendaciones

Proyectos basadas en la Recomendaciones

Prioridades y selección de proyectos (Quick Win)

Balance Scorecard TI (Indicadores y Métricas)

FASES DE DESARROLLOFASE 1. DEFINICIÓN Y PLANIFICACIÓN DEL PROYECTO.

FASE 2. CONOCIMIENTO DEL ENTORNO:

� Análisis de los objetivos del negocio.� Análisis del control interno.� Análisis de la estructura organizativa y de los procesos de negocio. � Análisis de cumplimiento legal.� Implantación de las Herramientas de Buen Gobierno� Análisis de riesgos.� Análisis de impacto en el negocio (BIA).� Análisis de políticas y procedimientos.

FASE 3: DEFINICIÓN:

� Gestión del riesgo.� Políticas y procedimientos.� Gestión de continuidad del negocio.� Plan de proyectos. � Plan de formación. � Plan de comunicación a los Órganos rectores de la compañía.

Desarrollo del proyecto

FASES DE DESARROLLO

FASE 4. IMPLANTACIÓN:

� Implantación del plan de tratamiento del riesgo y de las medidas elegidas.� Formación y concienciación al personal. � Cuadro de mando (BSC)� Implantación de métricas y registros. � Implantación de oficina de control interno.

FASE 5: REVISIÓN

� Auditoría del sistema. � Apoyo a la certificación.

Desarrollo del proyecto

METODOLOGÍA EMPLEADA

�COSO Committee of Sponsoring Organizations. �UNE – ISO/IEC 27001:2005: certificación de los SGSI� ISO/IEC 27002 : código de buenas prácticas de seguridad. �UNE –ISO/IEC 20000 Tecnología de la información. Gestión del servicio.� ITIL V3� ISO38500 - COBIT / Val IT publicado por IT GOBERNANCE INSTITUTE:

Objetivos de control de información y tecnologías relacionadas. � ISO24762 - BUSSINES CONTINUITY MANAGEMENT GOOD PRACTICE

GUIDELINES (2006) publicado por THE BUSINESS CONTINUITY INSTITUTE: guía de buenas prácticas de planes de continuidad del negocio.

�COSO-ERM , MAGERIT, NIST, UNE 71504 : metodologías de análisis de riesgos.

Metodología

proponemos una metodología para abarcar cada uno de los requisitos del proyecto